nix: openvz + iptables nat

среда, 31 декабря 2014 г.

# uname -a
Linux r31.ru 2.6.32-042stab102.9 #1 SMP Fri Dec 19 20:34:40 MSK 2014 x86_64 x86_64 x86_64 GNU/Linux

При попытке сделать iptables -t nat -L получаем

iptables v1.4.7: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)

Perhaps iptables or your kernel needs to be upgraded.

iptable_nat, nf_nat загружены.

Для корректно работающего ната нужен conntrack, и тут есть нюанс

Due to the update of vzctl from 4.6 to 4.7 they changed the setting of nf_conntrack to be disabled by default. (https://openvz.org/Download/vzctl/4.7/changes)

IP conntrack functionality has some negative impact on venet performance (uo to about 10%), so they better be disabled by default.
http://git.openvz.org/?p=vzctl;a=commit;h=a191a462579ee

Если нужен нат, можно посмотреть в сторону ebtable_nat, проверить

# ebtables -t nat -L

или вернуть работу iptables, для этого делаем

sudo grep -R "options nf_conntrack ip_conntrack_disable_ve0=1" /etc/modprobe.d/

у центос 6 это

/etc/modprobe.d/openvz.conf:options nf_conntrack ip_conntrack_disable_ve0=1

заменяем на 0, перезагружаемся. Должно заработать.

линки

nix